凭邮件里的 token 重置密码（无需登录）。

流程：密码长度 -> 图形验证码 -> 校验 token -> 改密 -> 删除 token。 返回：成功 success；密码过短 40005；验证码错 40001；token 无效 40006。 副作用：写库（更新 password_hash）、写 Redis（消费 token）。

安全性：token 用后即删、30 分钟过期，且必须配合图形验证码提交， 因此光拿到 token 还不能重置；但重置成功后并不会踢掉已有的登录会话。